搜索

[8272] 2014-09-15_火眼（FireEye）实验室FLAREIDAPro脚本系列：MSDN注释插件

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2014-09-15_火眼（FireEye）实验室FLAREIDAPro脚本系列：MSDN注释插件 火 眼 （ F i r e E y e ） 实 验 室 F L A R E   I D A   P r o 脚 本 系 列 ： M S D N 注 释 插 件 F r e e B u f   2 0 1 4 - 0 9 - 1 5 作 者   R a b b i t _ R u n 火 眼 实 验 室 的 高 级 逆 向 工 程 （ 简 称 火 眼 实 验 室 的 高 级 逆 向 工 程 （ 简 称 “ F L A R E ” ） 团 队 继 续 把 知 识 和 工 具 分 享 给 社 区 。 本 系 列 博 文 以 一 个 用 于 ） 团 队 继 续 把 知 识 和 工 具 分 享 给 社 区 。 本 系 列 博 文 以 一 个 用 于 “ 自 动 化 自 动 化 恢 复 恶 意 程 序 中 的 结 构 化 字 符 串 恢 复 恶 意 程 序 中 的 结 构 化 字 符 串 ” 的 脚 本 作 为 开 头 。 的 脚 本 作 为 开 头 。 ​ ​ ​ ​ ​ ​ ​ ​ 像 往 常 一 样 ， 你 可 以 下 载 这 些 脚 本 ， 下 载 位 置 ​ ​ ​ ​ h t t p s : / / g i t h u b . c o m / f i r e e y e / f l a r e - i d a 。 。 我 们 真 诚 地 希 望 这 些 脚 本 能 对 你 有 所 帮 助 。 ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ 一 、 动 机 一 、 动 机 ​ ​ ​ ​ ​ ​ ​ ​ 在 F L A R E 团 队 暑 假 实 习 期 间 （ P S ： 唉 ， 俺 是 没 机 会 了 ， 路 费 太 贵 了 ！ ） ， 我 的 目 标 是 开 发 一 个 I D A   p y t h o n 插 件 ， 用 于 加 快 在 I D A   P r o 中 的 逆 向 工 作 流 程 。 ​ ​ ​ 和 团 队 一 起 分 析 恶 意 代 码 样 本 时 ， 我 意 识 到 从 M S D N 网 站 上 查 找 函 数 、 参 数 和 常 量 等 信 息 占 用 了 大 部 分 时 间 。 由 于 要 频 繁 切 换 到 开 发 手 册 ， 逆 向 过 程 总 是 被 打 断 。 最 终 ， 我 们 找 到 了 解 决 方 法 。 最 终 ， 我 们 找 到 了 解 决 方 法 - 把 把 M S D N 信 息 自 动 信 息 自 动 整 合 到 整 合 到 I D A   P r o 。 本 篇 博 文 介 绍 的 脚 本 就 是 用 来 解 决 这 个 问 题 的 ， 而 且 接 下 也 会 介 绍 如 何 使 用 脚 本 。 。 本 篇 博 文 介 绍 的 脚 本 就 是 用 来 解 决 这 个 问 题 的 ， 而 且 接 下 也 会 介 绍 如 何 使 用 脚 本 。 ​ ​ ​ ​ ​ ​ 二 、 介 绍 二 、 介 绍 ​ ​ ​ ​ M S D N 注 释 插 件 整 合 了 函 数 、 参 数 、 返 回 值 等 信 息 ， 并 以 注 释 的 形 式 呈 现 在 I D A   P r o 反 汇 编 列 表 中 ， 尽 可 能 的 实 现 了 信 息 的 无 缝 整 合 。 此 外 ， 该 插 件 能 够 自 动 化 重 命 名 常 量 ， 进 而 加 快 了 逆 向 分 析 的 流 程 。 该 插 件 依 赖 于 一 个 离 线 的 X M L 数 据 库 文 件 ， 它 是 结 合 微 软 文 档 和 I D A 类 型 库 文 件 生 成 的 。 ​ ​ ​ ​ 三 、 特 征 三 、 特 征 ​ ​ ​ ​ ​ ​ ​ ​ 表 1 展 示 了 插 件 能 够 为 逆 向 分 析 专 家 提 供 的 帮 助 。 在 表 的 左 侧 ， 你 看 到 的 是 I D A   P r o 标 准 的 反 汇 编 窗 口 ： 7 个 参 数 入 栈 ， 然 后 调 用 函 数 C r e a t e F i l e A 。 通 常 来 说 ， 一 个 分 析 师 不 得 不 从 文 档 中 查 找 函 数 、 参 数 或 常 量 的 描 述 ， 从 而 ​ ​ ​ ​ 理 解 这 块 代 码 是 干 嘛 滴 ！ 为 了 获 得 常 量 值 的 可 读 形 式 ， 分 析 师 需 要 研 究 相 应 的 参 数 ， 把 标 准 的 枚 举 类 型 导 入 到 I D A 中 ， 然 后 手 动 重 命 名 。 表 的 右 侧 显 示 的 是 我 们 的 脚 本 执 行 后 的 结 果 ， 为 逆 向 分 析 师 提 供 了 更 多 的 帮 助 。 ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ 最 明 显 的 变 化 是 常 量 能 够 被 自 动 重 命 名 。 在 这 个 例 子 中 ， 4 0 0 0 0 0 0 0 h 被 自 动 的 转 换 为 G E N E R I C _ W R I T E 。 此 外 ， 每 个 函 数 参 数 都 被 重 命 名 为 唯 一 值 ， 因 此 相 应 的 描 述 也 可 以 被 添 加 到 反 汇 代 码 中 。 ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ 表 1 ： 标 准 符 号 常 量 的 自 动 化 标 记 ​ ​ ​ ​ 在 图 1 中 ， 你 能 清 楚 地 看 到 该 插 件 在 反 汇 编 代 码 中 如 何 显 示 函 数 、 参 数 以 及 常 量 信 息 。 顶 部 的 图 片 显 示 的 是 当 鼠 标 悬 停 在
C r e a t e F i l e A 函 数 上 时 ， 可 以 查 看 到 简 单 介 绍 和 返 回 值 。 在 中 间 的 图 片 中 ， 当 鼠 标 悬 停 在 h T e m p l a t e F i l e 参 数 上 时 ， 可 以 查 看 相 应 的 描 述 。 在 底 部 的 图 片 中 ， 当 鼠 标 悬 停 在 d w S h a r e M o d e 上 时 ， 该 自 动 化 重 命 名 的 常 量 会 显 示 一 些 描 述 信 息 。 ​ ​ ​ ​ 函 数 参 数 常 量 图 1 . 当 鼠 标 悬 停 在 函 数 名 、 参 数 和 常 量 上 时 会 显 示 相 应 的 描 述 信 息 四 、 工 作 原 理 四 、 工 作 原 理 ​ ​ ​ ​ ​ ​ ​ ​ 在 插 件 对 反 汇 编 代 码 产 生 任 何 改 变 之 前 ， 它 会 备 份 当 前 的 I D B 文 件 （ I D A 数 据 库 文 件 ） 。 该 文 件 会 存 储 在 当 前 数 据 库 的 目 录 下 ， 用 于 恢 复 以 前 的 标 记 ， 以 防 你 不 喜 欢 插 件 对 反 汇 编 代 码 的 更 改 或 出 现 了 问 题 。 ​ ​ ​ ​ 该 插 件 适 合 在 分 析 之 前 对 样 本 代 码 运 行 一 次 。 它 依 赖 于 一 个 离 线 数 据 库 ， 产 生 自 M S D N 文 档 和 I D A   P r o 类 型 库 文 件 （ . t i l ） 。
对 于 导 入 表 中 引 用 的 每 个 函 数 ， 该 插 件 都 会 注 解 函 数 描 述 和 返 回 值 ， 添 加 参 数 描 述 以 及 重 命 名 常 量 。 图 2 描 述 的 是 一 个 已 注 释 的 导 入 表 的 示 例 。 它 展 示 了 一 个 描 述 性 的 注 释 如 何 添 加 到 每 个 A P I 函 数 调 用 。 参 数 位 于 函 数 调 用 的 前 面 ， 以 便 标 识 出 指 令 的 地 址 ， 该 插 件 依 赖 于 I D A   P r o 标 记 。 ​ ​ ​ ​ 图 2 ： 已 注 释 的 导 入 表 ​ ​ 图 3 显 示 了 一 个 插 件 创 建 的 . m s d n 段 ， 主 要 用 于 存 储 参 数 描 述 。 这 只 会 影 响 I D A 的 数 据 库 文 件 ， 不 会 修 改 原 始 的 二 进 制 文 件 。 ​ 图 3 .   额 外 添 加 到 I D A 数 据 库 的 段 ​ ​ ​ ​ . m s d n 段 中 存 储 了 参 数 的 描 述 信 息 ， 如 图 4 所 示 。 独 一 无 二 的 参 数 名 和 相 应 描 述 性 的 注 释 被 顺 序 的 添 加 到 该 段 中 。 ​ ​ ​ ​ 图 4 .   名 字 和 注 释 都 被 插 入 到 参 数 描 述 ​ ​ ​ ​ 为 了 让 用 户 通 过 悬 停 鼠 标 就 能 查 看 到 常 量 的 描 述 信 息 ， 插 件 导 入 了 I D A   P r o 中 标 准 的 枚 举 类 型 ， 并 给 枚 举 成 员 添 加 了 描 述 性
的 注 释 。 图 5 显 示 了 M A C R O _ C R E A T E 枚 举 类 型 ， 存 储 了 通 过 参 数 d w C r e a t i o n D i s p o s i t i o n 传 递 给 函 数 C r e a t e F i l a A 的 常 量 值 。 ​ ​ ​ ​ 图 5 . 添 加 枚 举 成 员 的 描 述 五 、 准 备 五 、 准 备 M S D N 数 据 库 文 件 数 据 库 文 件 ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ 插 件 的 图 形 化 接 口 需 要 安 装 Q T 框 架 和 P y t h o n ， 已 经 包 含 在 I D A   P r o   6 . 6 发 行 版 中 。 ​ ​ ​ ​ ​ ​ ​ ​ 你 也 可 以 在 I D A   6 . 5 的 环 境 中 使 用 插 件 ， 具 体 设 置 参 考 如 下   ( h t t p : / / w w w . h e x b l o g . c o m / ? p = 3 3 3 ) . ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ ​ 就 如 开 始 提 到 的 ， 插 件 需 要 一 个 X M L 数 据 库 文 件 ， 用 于 存 储 M S D N 文 档 。 我 们 不 能 让 这 个 数 据 文 件 和 插 件 一 起 发 布 ， 因 为 M S D N 文 档 的 版 权 是 微 软 的 。 甭 怕 ， 我 们 提 供 一 个 生 成 这 个 数 据 库 文 件 的 脚 本 。 脚 本 和 插 件 都 可 以 从 g i t 仓 库 （ h t t p s : / / g i t h u b . c o m / f i r e e y e / f l a r e - i d a ） 下 载 下 来 。 ​ ​ ​ ​ ​ ​ ​ ​ 你 可 以 参 照 以 下 步 骤 创 建 数 据 文 件 ， 只 需 执 行 一 次 就 你 可 以 参 照 以 下 步 骤 创 建 数 据 文 件 ， 只 需 执 行 一 次 就 O 了 。 了 。 ​ ​ ​ ​ ​ ​ ​ ​ 1 .   下 载 并 安 装 离 线 M S D N 文 档 ， 下 载 链 接 ： h t t p : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 1 8 9 5 0 . 尽 管 不 是 最 新 的 S D K 版 本 ， 但 是 它 包 含 了 所 需 的 全 部 信 息 ， ​ ​ ​ ​ ​ ​ ​ ​ 而 且 数 据 可 以 直 接 被 提 取 。 如 图 6 所 示 ， 你 可 以 只 选 择 安 装 帮 助 文 档 ， 默 认 的 安 装 目 录 是 C : P r o g r a m F i l e s M i c r o s o f t   S D K s W i n d o w s v 7 . 0 H e l p 1 0 3 3 . ​ ​ ​ ​ ​ ​ ​ ​
图 6 .   安 装 M S D N 文 件 的 本 地 副 本 ​ ​ ​ ​ 2 .   利 用 解 压 软 件 （ 如 7 - z i p ） 解 压 M S D N 文 档 到 指 定 目 录 3 .   从 H e x - R a y s 网 站 上 下 载 t i l i b . e x e ， 链 接 如 下 ：   h t t p s : / / w w w . h e x - r a y s . c o m / p r o d u c t s / i d a / s u p p o r t / d o w n l o a d . s h t m l ​ ​ ​ ​ 为 了 让 插 件 能 够 重 命 名 常 量 ， 插 件 需 要 知 道 需 要 导 入 哪 些 标 准 的 枚 举 类 型 。 I D A   P r o 把 这 些 信 息 存 储 在 位 ​ ​ ​ ​ ​ ​ ​ ​ 于 % I D A D I R % / t i l / 的 T I L 文 件 中 。 H e y - R a y s 提 供 一 个 工 具 （ t i l l i b ） 用 于 显 示 T I L 文 件 内 容 。 把 下 载 的 t i l l i b 文 件 解 压 到 % I D A D I R % 目 录 中 。 如 果 你 不 加 任 何 参 数 运 行 t i l i b ， 并 看 到 了 它 的 帮 助 信 息 ， 说 明 程 序 正 确 地 运 行 起 来 了 。 ​ ​ ​ ​ 4 .   运 行 M S D N _ c r a w l e r / m s d n _ c r a w l e r . p y   < 已 解 压 的 M S D N 文 件 的 目 录   >   <   t i l i b . e x e 所 在 的 目 录 >   <   t i l 文 件 所 在 的 目 录 > 如 果 提 前 条 件 都 满 足 ， 你 就 可 以 运 行 位 于 M S D N _ c r a w l e r 目 录 中 的 M S D N _ c r a w l e r . p y 脚 本 。 脚 本 需 要 T I L 文 件 的 目 录 （ 通 常 为 % I D A D I R % / t i l / p c / ） 和 已 解 压 的 M S D N 文 档 的 目 录 。 当 脚 本 运 行 完 之 后 ， 最 终 的 X M L 数 据 库 文 件 就 位 于 M S D N _ d a t a   目 录 中 。 ​ ​ ​ ​ 现 在 就 去 现 在 就 去 I D A 中 运 行 我 们 的 插 件 给 反 汇 编 代 码 添 加 注 释 吧 ！ 中 运 行 我 们 的 插 件 给 反 汇 编 代 码 添 加 注 释 吧 ！ 六 、 运 行 六 、 运 行 M S D N 注 释 插 件 注 释 插 件 ​ ​ ​ ​ ​ ​ ​ ​ 在 I D A 中 ， 通 过 菜 单 ” F i l e - > S c r i p t   F i l e … ” ( 或 快 捷 键   A L T + F 7 ) 打 开 名 为 a n n o t a t e _ I D B _ M S D N . p y 的 脚 本 。 然 后 出 现 如 图 7 所 示 对 话 框 ， 允 许 你 配 置 插 件 的 功 能 。 默 认 情 况 下 ， 插 件 会 注 释 函 数 、 参 数 以 及 重 命 名 常 量 。 如 果 你 修 改 了 配 置 ， 并 通 过 点 击 “ O K ” 执 行 插 件 ， 配 置 信 息 会 存 储 在 位 于 插 件 目 录 中 的 一 个 配 置 文 件 。 这 样 就 允 许 你 重 用 以 前 的 配 置 在 其 他 的 样 本 中 运 行 插 件 。 如 果 你 没 有 配 置 注 释 函 数 或 参 数 ， 你 将 鼠 标 悬 停 在 这 类 元 素 （ 函 数 或 参 数 ） 上 时 ， 就 不 会 出 现 相 应 的 描 述 信 息 了 。 ​ ​ ​ ​ ​ ​ ​ ​
图 7 .   插 件 的 配 置 窗 口 当 你 对 函 数 配 置 成 了 “ 可 重 复 性 注 释 ” ， 在 反 汇 编 列 表 中 函 数 的 描 述 信 息 是 可 见 的 ， 如 图 8 所 示 。 ​ ​ ​ ​ 图 8 . 当 设 置 成 “ 可 重 复 性 注 释 ” 时 ， 函 数 注 释 的 预 览 七 、 类 似 工 具 和 已 知 的 缺 陷 ​ ​ ​ ​ ​ ​ ​ ​ 部 分 解 决 方 案 借 鉴 了 现 有 的 I D A P r o 插 件 ， 例 如 I D A S c o p e 和 I D A A P I H e l p 。 在 此 对 Z y n a m i c s 团 队 表 达 最 真 挚 的 谢 ​ ​ ​ ​ 意 ， 他 们 的 M S D N   c r a w l e r 和 I D A   i m p o r t e r 给 我 们 的 研 发 提 供 了 极 大 的 帮 助 。 插 件 主 要 在 W i n d o w s 环 境 下 的 I D A   P r o 上 测 试 通 过 ， 应 该 也 可 以 在 其 他 系 统 环 境 下 运 行 。 由 于 M S D N 文 档 的 结 构 和 M S D N c r a w l e r 工 具 的 缺 陷 ， 并 不 是 所 有 的 常 量 都 能 被 自 动 解 析 。 当 你 遇 到 缺 失 信 息 的 情 况 ， 你 可 以 在 M S D N _ d a t a 目 录 添 加 一 些 文 件 来 手 动 扩 展 数 据 库 。 为 了 保 证 扩 充 文 件 能 够 被 正 确 的 处 理 ， 这 些 文 件 必 须 是 有 效 的 X M L 文 件 ， 并 且 符 合 主 数 据 库 文 件 （ m a d n _ d a t a . x m l ） 中 给 定 的 结 构 （ X M L   S c h e m a ） 。 如 果 你 打 算 部 分 扩 展 已 有 函 数 的 信 息 ， 你 只 需 要 添 加 额 外 的 字 段 。 为 了 标 识 相 应 的 元 素 ， 必 须 为 这 些 额 外 字 段 添 加 名 字 标 签 （ n a m e   t a g ） 。 ​ ​ ​ ​ ​ ​ 例 如 ， 如 果 解 析 器 不 能 识 别 一 个 常 用 的 常 量 ， 你 可 以 手 动 添 加 注 释 信 息 。 对 于 对 于 C r e a t e F i l e A 函 数 中 的 函 数 中 的 d w D e s i r e d A c c e s s 参 参 数 ， 需 要 添 加 的 信 息 类 似 于 列 表 数 ， 需 要 添 加 的 信 息 类 似 于 列 表 1 ： ： ​ ​ ​ < ? x m l   v e r s i o n = < ? x m l   v e r s i o n = ” 1 . 0 ″   e n c o d i n g = ” I S O - 8 8 5 9 - 1 ″ ? > < m s d n > < f u n c t i o n s > < f u n c t i o n > < n a m e > C r e a t e F i l e A < / n a m e > < a r g u m e n t s > < a r g u m e n t > < n a m e > d w D e s i r e d A c c e s s < / n a m e > < c o n s t a n t s e n u m s = ” M A C R O _ G E N E R I C ” > < c o n s t a n t > < n a m e > G E N E R I C _ A L L < / n a m e > < v a l u e > 0 × 1 0 0 0 0 0 0 0 < / v a l u e > < d e s c r i p t i o n > A l l   p o s s i b l e a c c e s s   r i g h t s < / d e s c r i p t i o n > < / c o n s t a n t > < c o n s t a n t > < n a m e > G E N E R I C _ E X E C U T E < / n a m e > < v a l u e > 0 × 2 0 0 0 0 0 0 0 < / v a l u e > < d e s c r i p t i o n > E x e c u t e a c c e s s < / d e s c r i p t i o n > < / c o n s t a n t > < c o n s t a n t > < n a m e > G E N E R I C _ W R I T E < / n a m e > < v a l u e > 0 × 4 0 0 0 0 0 0 0 < / v a l u e > < d e s c r i p t i o n > W r i t e a c c e s s < / d e s c r i p t i o n > < / c o n s t a n t > < c o n s t a n t > < n a m e > G E N E R I C _ R E A D < / n a m e > < v a l u e > 0 × 8 0 0 0 0 0 0 0 < / v a l u e > < d e s c r i p t i o n > R e a d a c c e s s < / d e s c r i p t i o n > < / c o n s t a n t > < / c o n s t a n t s > < / a r g u m e n t > < / a r g u m e n t s > < / f u n c t i o n > < / f u n c t i o n s > < / m s d n > 列 表 1 .   添 加 的 信 息 增 强 了 对 C r e a t e F i l e A 函 数 的 d w D e s i r e d A c c e s s 参 数 的 理 解 八 、 结 论 八 、 结 论 ​ ​ ​ ​ 本 篇 博 文 演 示 了 如 何 生 成 一 个 M S D N 数 据 库 文 件 ， 用 于 插 件 自 动 化 的 给 I D A   P r o 反 汇 编 代 码 中 的 函 数 、 参 数 和 常 量 添 加 注 释
信 息 。 此 外 ， 我 们 还 讨 论 了 插 件 如 何 工 作 ， 如 何 配 置 以 及 定 制 插 件 。 我 们 希 望 这 个 插 件 能 够 加 快 你 的 分 析 过 程 。 ​ ​ [ 原 文 出 处 ： ​ ​ ​ ​ ​ ​ h t t p : / / w w w . f i r e e y e . c o m / b l o g / t e c h n i c a l / 2 0 1 4 / 0 9 / f l a r e - i d a - p r o - s c r i p t - s e r i e s - m s d n - a n n o t a t i o n s - i d a - p r o - f o r - m a l w a r e - a n a l y s i s . h t m l ] ​ ​ 水 平 有 限 ， 错 误 难 免 ， 欢 迎 批 评 指 正 ！ 本 人 也 做 过 一 些 逆 向 工 作 ， 对 文 中 提 到 的 问 题 也 深 有 体 会 ， 真 希 望 多 开 源 一 些 分 析 工 具 ， 减 轻 逆 向 分 析 工 作 的 劳 动 强 度 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理